Bir siteye girerken tarayıcın sunucudan sayfa ister, sunucu da yanıt gönderir. Bu alışverişin bir dili vardır: HTTP. Adresin başında HTTPS gördüğünde, aynı iletişimin TLS denilen bir güvenlik katmanıyla korunduğunu anlarsın. Peki bu koruma, sayfada gördüğün her şeye güvenebileceğin anlamına gelir mi?
Sayfa önce bir istektir
Bir bağlantıya tıkladığında tarayıcı ilgili kaynağı ister. Sunucu durum bilgisiyle birlikte bir yanıt döndürür; bu bir belge, görüntü veya başka veri olabilir. Sayfanın tamamlanması için birden fazla kaynak istenebilir. HTTP, bu isteklerin ve yanıtların nasıl ifade edileceğini tanımlar. Yani yalnızca adres çubuğunda görülen bir kısaltma değil, web iletişiminin temel kurallarından biridir.
HTTPS bu konuşmayı korur
HTTPS, HTTP iletişimini TLS üzerinden taşır. TLS, gönderilen verinin gizliliğini ve aktarım sırasında bütünlüğünü korumaya yardımcı olur. Bir başkasının aradaki trafiği görmesi, içeriği doğrudan okuyabilmesi anlamına gelmez. Mesajın fark edilmeden değiştirilmesine karşı da koruma sağlanır. Bu özellikle parola veya form bilgisi gönderirken önemlidir; korunan şey tarayıcı ile ilgili sunucu arasındaki iletişimdir.
Sertifika neyi doğrular?
Tarayıcı, sunucunun sunduğu sertifikayı ve bağlanılmak istenen alan adıyla ilişkisini kontrol eder. Amaç, konuşulan uç noktanın beklenen adla uyuşmasını sağlamaktır. Bu kontrol sitenin yazılarını araştırmaz, ürünlerini denemez veya işletmenin bütün davranışlarını onaylamaz. Bir harfi değiştirilmiş başka alan adı da kendine ait geçerli sertifika kullanabilir. Adresin doğruluğuna bakmak bu nedenle ayrı bir adımdır.
Güvenli bağlantı, güvenilir içerik değildir
Bir dolandırıcılık sayfası da HTTPS sunabilir. Bağlantı şifreliyken karşı taraf yine yanlış bilgi verebilir veya senden gereksiz bilgiler isteyebilir. Tarayıcıların bağlantı göstergelerini bir siteye verilmiş genel onay gibi okumamak gerekir. HTTPS'nin sağladığı koruma değerlidir, ama sınırı vardır. Sayfanın kaynağını, alan adını ve senden istediği işlemi değerlendirmek, bağlantının teknik korumasını değerlendirmekten farklıdır.
HTTPS aradaki iletişimi korur ve sunucunun alan adıyla ilişkisini doğrulamaya yardım eder. Sitenin dürüstlüğünü veya içeriğinin doğruluğunu garanti etmez.
MERAKIN BİR DAYANAĞI OLSUN.
Kaynağına git.
Bu anlatıyı hazırlarken başvurduğumuz kaynaklar.
Mozilla MDN — HTTP'nin çalışma biçimi Mozilla MDN — TLS ile bağlantı güvenliği Chromium ekibi — Bağlantı göstergeleri ve güven
